ซ้อมรับมือเหตุข้อมูลรั่ว ผู้บริหาร HR ไอที และกฎหมาย ต้องซ้อมอะไรบ้าง

องค์กรจำนวนมากมีแผนรับมือเหตุข้อมูลรั่วเก็บไว้ในแฟ้ม แต่ไม่เคยหยิบมาใช้เลยจนกระทั่งวันที่เกิดเหตุจริง แล้วถึงพบว่าแผนนั้นตอบคำถามที่กดดันที่สุดไม่ได้ เช่น ใครมีอำนาจตัดสินใจตอนตีสอง หรือติดต่อผู้บริหารได้ทางไหนในวันหยุด การซ้อมรับมือเหตุข้อมูลรั่วจึงไม่ใช่พิธีกรรม แต่เป็นวิธีเดียวที่จะรู้ว่าแผนที่เขียนไว้ใช้ได้จริงหรือไม่ ก่อนที่จะต้องใช้จริง

ทำไมการซ้อมถึงมีค่าทางกฎหมาย ไม่ใช่แค่ทางปฏิบัติ

ประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง หลักเกณฑ์การพิจารณาออกคำสั่งลงโทษปรับทางปกครองของคณะกรรมการผู้เชี่ยวชาญ พ.ศ. 2565 ข้อ 8 กำหนดปัจจัยที่ต้องคำนึงถึงไว้หลายข้อ และมีสองข้อที่เกี่ยวกับการซ้อมโดยตรง

• ระดับความรับผิดชอบและมาตรฐานขององค์กรในขณะที่มีการกระทำความผิด
• การดำเนินการตามประมวลจริยธรรม แนวปฏิบัติทางธุรกิจ หรือมาตรฐานในการรักษาความมั่นคงปลอดภัยของข้อมูลส่วนบุคคลในขณะที่มีการกระทำความผิด

คำว่าในขณะที่มีการกระทำความผิดปรากฏสองครั้ง ซึ่งแปลว่าสิ่งที่ถูกวัดคือสภาพขององค์กร ณ วันเกิดเหตุ ไม่ใช่ ณ วันชี้แจง เอกสารที่ทำขึ้นหลังได้รับหนังสือจึงช่วยได้จำกัด ในขณะที่บันทึกการซ้อมที่ลงวันที่ไว้ก่อนเกิดเหตุ เป็นหลักฐานโดยตรงว่าองค์กรมีมาตรฐานอยู่จริง

ยังมีบทเรียนอีกข้อจากคำสั่งลงโทษปรับที่เคยมี ซึ่งวินิจฉัยว่าการมีเพียงการกำชับด้วยวาจาไม่เพียงพอตามมาตรฐานที่กฎหมายกำหนด · หลักเดียวกันใช้กับการซ้อม คือการซ้อมที่ไม่มีบันทึก มีค่าเท่ากับไม่ได้ซ้อม เพราะไม่มีอะไรให้ยกขึ้นแสดง

สี่การตัดสินใจที่ต้องซ้อม ไม่ใช่สี่ขั้นตอนทางเทคนิค

ความผิดพลาดที่พบบ่อยในการซ้อมคือมุ่งไปที่ขั้นตอนทางเทคนิค เช่น การกู้ระบบหรือการปิดช่องโหว่ ซึ่งฝ่ายไอทีทำได้อยู่แล้ว แต่สิ่งที่พังจริงในวันเกิดเหตุคือการตัดสินใจที่ต้องข้ามแผนกและมีกรอบเวลา

การตัดสินใจ	คำถามที่ต้องตอบได้ทันที	ถ้าตอบไม่ได้จะเกิดอะไร
1 · จดเวลาที่ทราบเหตุ	ใครเป็นจุดรับแจ้ง และเวลาไหนที่ถือว่าองค์กรทราบ	นับ 72 ชั่วโมงไม่ได้ และฝ่ายที่โต้แย้งจะเลือกเวลาที่เร็วที่สุดมาเป็นตัวตั้ง
2 · สั่งหยุดทำลายข้อมูล	ใครมีอำนาจสั่ง และสั่งด้วยเอกสารอะไร	หลักฐานถูกเขียนทับตามรอบอัตโนมัติ จนพิสูจน์ขอบเขตไม่ได้
3 · สรุปว่าต้องแจ้งหรือไม่	ใครมีอำนาจสรุป และใช้เกณฑ์อะไร	ตัดสินใจช้าจนเลยกรอบ หรือสรุปว่าไม่ต้องแจ้งโดยไม่มีบันทึก
4 · ใครพูดกับภายนอก	ใครเป็นผู้สื่อสารเพียงคนเดียว และห้ามใครพูดบ้าง	คำอธิบายหลายเวอร์ชันขัดกันเอง กลายเป็นหลักฐานว่าองค์กรไม่มีระบบ

ทั้งสี่ข้อไม่ต้องใช้ความรู้ทางเทคนิคเลย แต่ต้องมีการมอบหมายอำนาจไว้ล่วงหน้าเป็นลายลักษณ์อักษร ซึ่งเป็นช่องโหว่ที่การซ้อมทำให้เห็นได้ชัดที่สุด

สี่บทบาท ซ้อมคนละอย่าง

บทบาท	สิ่งที่ต้องซ้อม	ตัวชี้วัดว่าซ้อมผ่าน
ผู้บริหาร	ตัดสินใจเรื่องแจ้งหรือไม่แจ้งภายในกรอบเวลา · ตัดสินใจระหว่างกู้ระบบกับรักษาหลักฐาน · อนุมัติหนังสือแจ้ง	ติดต่อได้ภายในกี่นาทีนอกเวลาทำการ และตัดสินใจได้โดยไม่ต้องรอประชุมใหญ่
ฝ่ายไอที	ระงับความเสียหาย · ขยายเวลาเก็บบันทึกก่อนถูกเขียนทับ · ตอบให้ได้ว่าข้อมูลอะไรถูกเข้าถึงและกระทบกี่ราย	ตอบคำถามสามข้อนี้ได้ภายในกี่ชั่วโมง ไม่ใช่ตอบว่าอุดช่องโหว่แล้ว
ฝ่ายบุคคล	ประสานกรณีที่ผู้ได้รับผลกระทบเป็นพนักงาน · เตรียมการสื่อสารภายใน · แยกเรื่องวินัยออกจากการรับมือเหตุ	ไม่รีบดำเนินการทางวินัยในสัปดาห์แรก และรู้ว่าเรื่องอาจเดินต่อไปที่ศาลแรงงาน
ฝ่ายกฎหมายหรือทนาย	ประเมินหน้าที่แจ้งเหตุ · ร่างหนังสือแจ้งเจ้าของข้อมูล · ตรวจถ้อยคำก่อนออกสู่ภายนอก	ได้รับข้อเท็จจริงครบพอจะประเมินภายในกี่ชั่วโมงหลังเกิดเหตุ

ข้อสังเกตที่สำคัญคือทั้งสี่บทบาทต้องอยู่ในห้องเดียวกันตอนซ้อม เพราะปัญหาที่พบจริงมักไม่ได้อยู่ในบทบาทใดบทบาทหนึ่ง แต่อยู่ตรงรอยต่อระหว่างกัน เช่น ฝ่ายไอทีรู้ข้อเท็จจริงแต่ไม่รู้ว่าฝ่ายกฎหมายต้องการอะไร หรือผู้บริหารตัดสินใจโดยยังไม่ได้ข้อมูลที่จำเป็น

เลนส์ทนายยอดทิพย์ธรรม

คนทั่วไปมักเข้าใจว่า… การซ้อมเป็นกิจกรรมเสริมที่ทำเมื่อมีเวลาว่าง และวัดผลด้วยความรู้สึกว่าทีมเข้าใจกันมากขึ้น

แต่ในทางคดี กฎหมายและศาลมักมองว่า… บันทึกการซ้อมคือพยานเอกสารที่จัดทำก่อนเกิดเหตุ ซึ่งมีน้ำหนักมากกว่าคำอธิบายย้อนหลังเสมอ เพราะจัดทำในเวลาที่องค์กรยังไม่มีเหตุจูงใจใด ๆ และมีวันที่กำกับชัดเจน

จุดเสี่ยงจริงอยู่ตรงนี้… องค์กรที่ซ้อมแล้วแต่ไม่ได้บันทึกอะไรไว้ อยู่ในสถานะเดียวกับองค์กรที่ไม่เคยซ้อมเลยในวันที่ต้องชี้แจง และองค์กรที่ซ้อมแล้วพบปัญหาแต่ไม่ได้แก้ จะเจอหนักกว่านั้น เพราะบันทึกการซ้อมของตัวเองกลายเป็นหลักฐานว่ารู้ปัญหามาก่อนแล้วปล่อยไว้

ทางเลือกที่ควรทำต่อคือ… ซ้อมแล้วต้องบันทึกสามอย่างเสมอ คือใครเข้าร่วมบ้าง พบช่องโหว่อะไร และแก้ไขเสร็จเมื่อไรโดยใคร · ข้อสุดท้ายสำคัญที่สุด เพราะเป็นสิ่งที่เปลี่ยนบันทึกการซ้อมจากหลักฐานที่อาจย้อนกลับมาทำร้าย ให้กลายเป็นหลักฐานว่าองค์กรปรับปรุงจริง

สถานการณ์ซ้อมที่ควรใช้ เรียงจากที่ควรซ้อมก่อน

ไม่ควรเริ่มจากสถานการณ์ที่ใหญ่ที่สุด เพราะจะได้บทเรียนน้อยกว่าที่คิด สถานการณ์ที่ให้บทเรียนมากที่สุดคือสถานการณ์ที่เกิดบ่อยและกำกวมพอจะทำให้ทีมต้องตัดสินใจจริง

1. ส่งอีเมลผิดคน เป็นสถานการณ์เริ่มต้นที่เหมาะที่สุด เพราะเกิดบ่อยและบังคับให้ทีมต้องประเมินว่าต้องแจ้งหรือไม่ ซึ่งเป็นการตัดสินใจที่ยากที่สุด
2. พนักงานทำโน้ตบุ๊กหายระหว่างเดินทาง ทดสอบว่าองค์กรเพิกถอนสิทธิเข้าถึงระบบได้เร็วแค่ไหน และรู้หรือไม่ว่าเครื่องนั้นมีข้อมูลอะไร
3. ไฟล์หลุดจากกลุ่มแชท ทดสอบว่าพนักงานกล้ารายงานทันทีหรือไม่ ซึ่งเป็นตัวชี้วัดวัฒนธรรมองค์กรมากกว่าตัวชี้วัดกระบวนการ
4. คู่ค้าแจ้งมาว่าระบบของเขาถูกเจาะ ทดสอบว่าองค์กรขอข้อมูลจากคู่ค้าได้เร็วแค่ไหน และสัญญาที่มีอยู่ช่วยได้จริงหรือไม่
5. ระบบถูกเข้ารหัสเรียกค่าไถ่ในคืนวันศุกร์ เป็นสถานการณ์ที่กดดันที่สุด ควรซ้อมเมื่อสี่แบบแรกผ่านแล้ว

เงื่อนไขที่ทำให้การซ้อมมีค่าจริง — ต้องจับเวลา โดยเริ่มนับตั้งแต่วินาทีที่สมมติว่าทราบเหตุ และต้องบันทึกว่าแต่ละขั้นใช้เวลาเท่าไร เพราะตัวเลขเวลาคือสิ่งเดียวที่บอกได้ว่าองค์กรทำทันกรอบ 72 ชั่วโมงหรือไม่ ส่วนความรู้สึกว่าทีมทำได้ดีนั้นเชื่อถือไม่ได้

รูปแบบการซ้อมที่ใช้ได้จริงกับองค์กรทั่วไป

ไม่จำเป็นต้องซ้อมใหญ่ปีละครั้ง เพราะการซ้อมใหญ่ที่จัดยากมักถูกเลื่อนจนไม่ได้ทำ รูปแบบที่ได้ผลกว่าคือแบ่งเป็นสามระดับ

• ซ้อมบนโต๊ะ 60 นาที ทุกไตรมาส ทั้งสี่บทบาทนั่งรวมกัน อ่านสถานการณ์สมมติ แล้วเดินผ่านสี่การตัดสินใจโดยไม่ต้องแตะระบบจริง · ใช้ทรัพยากรน้อยที่สุดและได้บทเรียนมากที่สุด
• ทดสอบเฉพาะจุด 15 นาที ทุกเดือน เช่น ทดสอบว่าติดต่อผู้มีอำนาจตัดสินใจได้ภายในกี่นาทีนอกเวลาทำการ หรือทดสอบว่าฝ่ายไอทีดึงบันทึกย้อนหลังได้จริงหรือไม่
• ซ้อมเต็มรูปแบบปีละครั้ง ใช้สถานการณ์ที่ซับซ้อนและมีบุคคลภายนอกเกี่ยวข้อง เช่น คู่ค้าหรือสื่อ

องค์กรที่เพิ่งเริ่มควรทำเฉพาะแบบแรกก่อน และควรใช้แบบฟอร์มบันทึกเหตุตัวจริงมากรอกในวันซ้อม จะได้ทดสอบไปพร้อมกันว่าแบบฟอร์มใช้งานได้จริงหรือไม่

สิบคำถามที่ใช้วัดว่าซ้อมผ่านหรือไม่

วัดด้วยคำถามที่ตอบเป็นชื่อคนหรือตัวเลขเวลาได้ ไม่ใช่คำถามที่ตอบว่าใช่หรือไม่ใช่

• ใครคือจุดรับแจ้งเหตุ และตอบเป็นชื่อตำแหน่งได้หรือไม่
• เวลาที่ทราบเหตุถูกจดไว้ที่ไหน และใครเป็นคนจด
• ใครมีอำนาจสั่งหยุดทำลายข้อมูล และใช้เอกสารอะไรสั่ง
• ใช้เวลากี่นาทีกว่าจะติดต่อผู้มีอำนาจตัดสินใจได้
• ฝ่ายไอทีตอบได้ภายในกี่ชั่วโมงว่าข้อมูลอะไรถูกเข้าถึงและกระทบกี่ราย
• ใครมีอำนาจสรุปว่าต้องแจ้งหรือไม่ และเกณฑ์ที่ใช้อยู่ที่ไหน
• ถ้าเหตุมาจากคู่ค้า ติดต่อผู้รับผิดชอบของคู่ค้าได้ทางไหนนอกเวลาทำการ
• ใครเป็นผู้สื่อสารกับภายนอกเพียงคนเดียว และแจ้งพนักงานคนอื่นแล้วหรือยัง
• ถ้าผู้ได้รับผลกระทบเป็นพนักงาน มีใครดูมุมแรงงานควบคู่ไปด้วยหรือไม่
• ตั้งแต่สมมติว่าทราบเหตุจนถึงพร้อมยื่นคำแจ้ง ใช้เวลารวมกี่ชั่วโมง

ข้อสุดท้ายคือตัวชี้วัดที่แท้จริง เพราะเทียบกับกรอบ 72 ชั่วโมงได้ตรง ๆ องค์กรที่ซ้อมแล้วใช้เวลา 60 ชั่วโมงถือว่าผ่านแบบเฉียดฉิว และควรลดลงมาให้เหลือครึ่งหนึ่ง เพราะวันจริงมีปัจจัยรบกวนมากกว่าวันซ้อมเสมอ

ปลายทางถ้าไม่เคยซ้อม

1. ในวันเกิดเหตุ องค์กรใช้เวลาส่วนใหญ่ไปกับการหาว่าใครรับผิดชอบอะไร แทนที่จะใช้ไปกับการระงับเหตุและเก็บหลักฐาน
2. เมื่อไม่มีใครจดเวลาที่ทราบเหตุ องค์กรจะตอบไม่ได้ว่านาฬิกาเริ่มเมื่อไร ซึ่งเป็นคำถามแรกในชั้นชี้แจง
3. เมื่อเลยกรอบเวลา จะเกิดประเด็นตามมาตรา 37 (4) แยกจากประเด็นเรื่องมาตรการตามมาตรา 37 (1) กลายเป็นสองฐานความผิดจากเหตุเดียว
4. ในการพิจารณาโทษ ปัจจัยเรื่องมาตรฐานขององค์กรในขณะกระทำผิดจะไม่ถูกนำมาชั่งน้ำหนักให้ เพราะไม่มีหลักฐานใดยืนยัน
5. และหากผู้ได้รับผลกระทบเป็นพนักงาน เรื่องมักเดินคู่ขนานไปที่ศาลแรงงานอีกทางหนึ่ง

หลักฐานที่ต้องเก็บจากการซ้อมทุกครั้ง

• วันที่ซ้อม สถานการณ์ที่ใช้ และรายชื่อผู้เข้าร่วมพร้อมตำแหน่ง
• ไทม์ไลน์ที่จับเวลาจริง ระบุว่าแต่ละขั้นใช้เวลาเท่าไร
• เอกสารที่ทีมกรอกระหว่างซ้อม เช่น แบบฟอร์มบันทึกเหตุและแบบประเมินความเสี่ยง
• รายการช่องโหว่ที่พบ ระบุให้ชัดเจนไม่ใช่เขียนกว้าง ๆ
• แผนแก้ไขพร้อมชื่อผู้รับผิดชอบและกำหนดวันแล้วเสร็จ
• หลักฐานว่าแก้ไขเสร็จจริงตามกำหนด ซึ่งเป็นชิ้นที่สำคัญที่สุดและมักหายไป
• ลายมือชื่อผู้อนุมัติรายงานการซ้อม

ถ้าเป็นฝ่ายองค์กร ต้องเริ่มอย่างไร

• เริ่มจากซ้อมบนโต๊ะ 60 นาทีด้วยสถานการณ์ส่งอีเมลผิดคน อย่าเริ่มจากสถานการณ์ใหญ่
• บังคับให้ทั้งสี่บทบาทอยู่ในห้องเดียวกัน เพราะปัญหาอยู่ตรงรอยต่อระหว่างแผนก
• จับเวลาจริงตั้งแต่วินาทีแรก และห้ามหยุดเวลาเพื่ออธิบาย
• ใช้แบบฟอร์มตัวจริงมากรอก ไม่ใช่คุยกันเฉย ๆ
• ทดสอบการติดต่อนอกเวลาทำการจริง อย่าสมมติว่าติดต่อได้
• บันทึกช่องโหว่ทุกข้อ พร้อมชื่อผู้รับผิดชอบและกำหนดวันแก้
• ติดตามให้แก้เสร็จจริง แล้วบันทึกหลักฐานการแก้ไว้คู่กับรายงานการซ้อม
• ซ้อมซ้ำด้วยสถานการณ์เดิมในไตรมาสถัดไป เพื่อดูว่าเวลาลดลงหรือไม่

อีกฝ่ายอาจโต้แย้งอย่างไร

• "อ้างว่าเคยซ้อมแต่ไม่มีบันทึก" — เป็นสถานการณ์เดียวกับไม่เคยซ้อมในทางพยานหลักฐาน
• "ซ้อมแล้วพบปัญหาแต่ไม่ได้แก้" — รายงานการซ้อมขององค์กรเองกลายเป็นหลักฐานว่ารู้ปัญหามาก่อน
• "ซ้อมครั้งสุดท้ายเมื่อสามปีก่อน" — โดยเฉพาะเมื่อองค์กรมีระบบใหม่หรือเปลี่ยนโครงสร้างไปแล้ว
• "ซ้อมแต่ไม่มีผู้บริหารเข้าร่วม" — ทำให้การตัดสินใจที่สำคัญที่สุดไม่เคยถูกทดสอบ
• "ซ้อมเฉพาะฝ่ายไอที" — ทำให้การตัดสินใจเรื่องแจ้งเหตุซึ่งเป็นการตัดสินใจทางกฎหมายไม่ได้ถูกซ้อมเลย

ก่อนซ้อมครั้งแรก ควรทำอะไรตามลำดับ

1. เขียนชื่อผู้รับผิดชอบสี่การตัดสินใจให้ครบก่อน เพราะถ้ายังไม่มีชื่อ การซ้อมจะกลายเป็นการประชุมหาข้อสรุป
2. เตรียมแบบฟอร์มบันทึกเหตุและเกณฑ์ประเมินความเสี่ยงให้พร้อมใช้
3. เลือกสถานการณ์ที่เกิดบ่อยที่สุดในองค์กรจริง ไม่ใช่สถานการณ์ที่ดูน่าตื่นเต้น
4. กำหนดผู้สังเกตการณ์หนึ่งคนที่ทำหน้าที่จับเวลาและจดอย่างเดียว
5. ซ้อมโดยไม่บอกล่วงหน้าว่าสถานการณ์คืออะไร เพื่อให้ได้ปฏิกิริยาจริง
6. สรุปทันทีหลังซ้อมเสร็จขณะที่ทุกคนยังอยู่ แล้วมอบหมายงานแก้ไขในที่ประชุมนั้นเลย

กรณีแบบไหนที่ควรให้ทนายร่วมซ้อมด้วย

• ซ้อมครั้งแรกขององค์กร เพื่อวางเกณฑ์การตัดสินใจเรื่องแจ้งเหตุให้ถูกตั้งแต่ต้น
• องค์กรมีข้อมูลอ่อนไหวจำนวนมาก เช่น ข้อมูลสุขภาพหรือข้อมูลชีวภาพ
• สถานการณ์ที่ซ้อมเกี่ยวข้องกับคู่ค้าหรือผู้ให้บริการภายนอก
• องค์กรเคยเกิดเหตุจริงมาแล้วและต้องการทบทวนว่าที่ทำไปถูกหรือไม่
• ผู้ได้รับผลกระทบในสถานการณ์สมมติเป็นพนักงาน ซึ่งพ่วงมุมแรงงาน
• องค์กรอยู่ในธุรกิจที่อาจมีหน้าที่แจ้งตามกฎหมายอื่นเพิ่มเติม
• ต้องการให้รายงานการซ้อมอยู่ในสภาพที่ใช้ยันได้จริงในชั้นชี้แจง

สำนักงานกฎหมายยอดทิพย์ธรรม ช่วยอะไรได้บ้าง

ในงานที่ปรึกษากฎหมาย PDPA สำหรับองค์กร เราออกแบบสถานการณ์ซ้อมให้ตรงกับความเสี่ยงจริงขององค์กร ร่วมสังเกตการณ์ในวันซ้อม และจัดทำรายงานที่ระบุช่องโหว่พร้อมแผนแก้ไขในรูปแบบที่ใช้ยันได้ในชั้นชี้แจง ไม่ใช่รายงานที่สรุปว่าทุกอย่างเรียบร้อยดี

สิ่งที่เราเน้นเป็นพิเศษคือการทดสอบการตัดสินใจทางกฎหมายที่มีกรอบเวลา ซึ่งเป็นจุดที่การซ้อมโดยทีมภายในมักข้ามไป เพราะไม่มีใครกล้าตอบว่าเหตุนี้ต้องแจ้งหรือไม่ · และหากเกิดเหตุจริงระหว่างนั้น บริการประเมินเหตุข้อมูลรั่วไหลเร่งด่วน รองรับได้ทันที

สรุป

การซ้อมรับมือเหตุข้อมูลรั่วให้ผลสองชั้น คือทีมทำงานได้จริงในวันเกิดเหตุ และบันทึกการซ้อมกลายเป็นหลักฐานว่าองค์กรมีมาตรฐานอยู่จริงก่อนเกิดเหตุ ซึ่งเป็นปัจจัยที่ถูกนำมาชั่งน้ำหนักในการพิจารณาโทษโดยตรง

สิ่งที่ต้องซ้อมคือสี่การตัดสินใจที่ข้ามแผนกและมีกรอบเวลา ไม่ใช่ขั้นตอนทางเทคนิค และการซ้อมที่ไม่มีบันทึกมีค่าเท่ากับไม่ได้ซ้อม เช่นเดียวกับที่การกำชับด้วยวาจาเคยถูกวินิจฉัยว่าไม่เพียงพอมาแล้ว องค์กรที่เริ่มจากซ้อมบนโต๊ะ 60 นาทีในไตรมาสนี้ จึงได้มากกว่าองค์กรที่วางแผนซ้อมใหญ่ไว้ปีหน้า

หากคุณกำลังเจอปัญหาลักษณะนี้ ปรึกษาทีมทนายของสำนักงานกฎหมายยอดทิพย์ธรรม โทร 081-327-8551 | LINE @995iqtpa หรือนัดหมายปรึกษาที่นี่

ข้อกฎหมายที่เกี่ยวข้อง

• ประกาศ กคส. เรื่อง หลักเกณฑ์การพิจารณาออกคำสั่งลงโทษปรับทางปกครองของคณะกรรมการผู้เชี่ยวชาญ พ.ศ. 2565 ข้อ 8 — ปัจจัยที่ต้องคำนึงถึง ซึ่งรวมถึงระดับความรับผิดชอบและมาตรฐานขององค์กรในขณะที่มีการกระทำความผิด และการดำเนินการตามประมวลจริยธรรม แนวปฏิบัติทางธุรกิจ หรือมาตรฐานในการรักษาความมั่นคงปลอดภัยของข้อมูลส่วนบุคคลในขณะที่มีการกระทำความผิด ซึ่งเป็นเหตุผลที่บันทึกการซ้อมที่ลงวันที่ก่อนเกิดเหตุมีน้ำหนัก
• ประกาศฯ ข้อ 8 (11) และ (12) — การเยียวยาและบรรเทาความเสียหายเมื่อทราบเหตุ และการชดใช้ค่าสินไหมทดแทนแก่เจ้าของข้อมูล ซึ่งองค์กรที่ซ้อมมาแล้วมักทำได้เร็วกว่า
• ประกาศ กคส. เรื่อง หลักเกณฑ์และวิธีการในการแจ้งเหตุการละเมิดข้อมูลส่วนบุคคล พ.ศ. 2565 — ขั้นตอนเมื่อทราบว่ามีหรือน่าจะมีเหตุละเมิด ปัจจัยประเมินความเสี่ยง 8 ข้อ และรายละเอียดที่ต้องแจ้ง ซึ่งเป็นเนื้อหาที่ควรใช้เป็นโครงของการซ้อม
• ประกาศฯ · หน้าที่หลังเกิดเหตุ — ดำเนินการตามมาตรการที่จำเป็นและเหมาะสมเพื่อป้องกันเหตุและผลกระทบที่อาจเกิดในลักษณะเดียวกันในอนาคต รวมถึงทบทวนมาตรการรักษาความมั่นคงปลอดภัยให้เหมาะสม ซึ่งการซ้อมเป็นวิธีหนึ่งในการทบทวน
• พ.ร.บ.คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 มาตรา 37 (1) — หน้าที่จัดให้มีมาตรการรักษาความมั่นคงปลอดภัยที่เหมาะสม ซึ่งครอบคลุมถึงมาตรการเชิงองค์กร ไม่ใช่เฉพาะมาตรการทางเทคนิค
• มาตรา 37 (4) — หน้าที่แจ้งเหตุภายใน 72 ชั่วโมงนับแต่ทราบเหตุ ซึ่งเป็นกรอบเวลาที่ใช้วัดผลการซ้อม
• มาตรา 39 — บันทึกรายการกิจกรรมการประมวลผล ซึ่งควรเป็นเอกสารที่ทีมใช้อ้างอิงระหว่างซ้อมเพื่อระบุว่าข้อมูลชุดใดอยู่ที่ระบบใด

คำถามที่พบบ่อย

องค์กรเล็กจำเป็นต้องซ้อมไหม

จำเป็น และทำได้ง่ายกว่าองค์กรใหญ่ด้วย เพราะคนน้อยกว่าจึงนัดรวมกันได้ง่าย องค์กรเล็กเริ่มจากการซ้อมบนโต๊ะ 60 นาทีปีละสองครั้งก็เพียงพอ โดยให้ผู้บริหาร ผู้ดูแลระบบ ฝ่ายบุคคล และผู้รับผิดชอบด้านกฎหมายนั่งรวมกันเดินผ่านสถานการณ์สมมติหนึ่งเรื่อง สิ่งสำคัญไม่ใช่ขนาดของการซ้อม แต่คือมีบันทึกว่าซ้อมเมื่อไร พบช่องโหว่อะไร และแก้ไขเสร็จเมื่อใด

ซ้อมแล้วพบว่าองค์กรทำไม่ทัน 72 ชั่วโมง ควรทำอย่างไร

นั่นคือผลลัพธ์ที่ดีของการซ้อม เพราะพบก่อนเกิดเหตุจริง สิ่งที่ต้องทำคือระบุให้ชัดว่าเวลาหมดไปกับขั้นตอนใดมากที่สุด ซึ่งมักเป็นการติดต่อผู้มีอำนาจตัดสินใจหรือการรอข้อมูลจากฝ่ายไอที แล้วแก้ที่จุดนั้นโดยเฉพาะ พร้อมบันทึกแผนแก้ไขและหลักฐานว่าแก้เสร็จจริง เพราะรายงานการซ้อมที่พบปัญหาแล้วมีหลักฐานว่าแก้แล้ว มีน้ำหนักในทางที่เป็นคุณมากกว่ารายงานที่สรุปว่าทุกอย่างเรียบร้อย

ต้องซ้อมบ่อยแค่ไหน

กฎหมายไม่ได้กำหนดความถี่ไว้เป็นการเฉพาะ แต่ในทางปฏิบัติควรซ้อมบนโต๊ะอย่างน้อยปีละสองครั้ง และควรซ้อมเพิ่มเมื่อมีเหตุการณ์ที่เปลี่ยนความเสี่ยงขององค์กร เช่น เปลี่ยนระบบสำคัญ เพิ่มคู่ค้าที่เข้าถึงข้อมูลจำนวนมาก ปรับโครงสร้างองค์กร หรือมีผู้รับผิดชอบคนใหม่ เพราะการซ้อมที่ทำไว้นานแล้วกับทีมชุดเก่า มักไม่สะท้อนสภาพองค์กรในปัจจุบัน

การซ้อมต้องใช้ข้อมูลจริงหรือข้อมูลสมมติ

ควรใช้ข้อมูลสมมติเสมอ เพราะการนำข้อมูลส่วนบุคคลจริงมาใช้ในการซ้อมอาจกลายเป็นการประมวลผลนอกวัตถุประสงค์ที่แจ้งไว้ และเพิ่มความเสี่ยงโดยไม่จำเป็น สิ่งที่ควรใช้ของจริงคือระบบ ขั้นตอน แบบฟอร์ม และช่องทางติดต่อ เพราะเป้าหมายของการซ้อมคือทดสอบว่ากระบวนการใช้ได้จริงหรือไม่ ไม่ใช่ทดสอบว่าข้อมูลถูกต้องหรือไม่

ผู้เขียน นายเอกราช ทิพย์แมม คดีครอบครัว มรดก และหนี้สิน

สาขาที่เชี่ยวชาญ: ครอบครัว · มรดกและพินัยกรรม · หนี้สินและบังคับคดี

ดูประวัติทีมทนายความ →

บทความนี้เป็นความรู้กฎหมายทั่วไปเพื่อความเข้าใจเบื้องต้น ไม่ใช่คำปรึกษาทางกฎหมายเฉพาะคดี ผลทางกฎหมายขึ้นอยู่กับข้อเท็จจริง เอกสาร และพยานหลักฐานของแต่ละกรณี ควรปรึกษาทนายความเพื่อประเมินเรื่องของท่านโดยเฉพาะ